@poteto 引爆軟體工程論戰：AI 代理寫的程式碼，品質與資安該怎麼看？
曾參與 React Compiler 的工程師 Lauren 主張程式碼本來就有粗糙之處，AI 代理正在壓縮基礎技能。本文並列正反論點，並用 Veracode 測試數據說明 AI 程式碼的資安風險。
10 月 9 日起，一串關於「AI 時代還需要哪些工程技能」的貼文，在工程師圈吵了兩天。
引爆點之一是 Lauren，帳號 @poteto。她的個人簡介列出 React Compiler 核心團隊，以及 Meta、Cursor、Netflix 的經歷。
她主張程式碼本來就充滿粗糙的部分，AI 代理只是讓這件事更明顯，而工程師的新功課是學會駕馭代理。
反對者則提醒，可維護性與資安不會因為寫得快就自動變好。
我認為這場爭論最實用的地方，是提醒讀者把開發速度與品質責任分開看。原型做得快，並不能直接回答誰來維護、誰來處理漏洞。
要看懂爭點，先從這波討論怎麼開始說起。
論戰起點：用 AI 從選項變成求職門檻
10 月 9 日，工程師 Geoffrey Huntley 發表文章，主張在軟體業使用 AI 已經不是選項。他甚至寫道，如果公司禁止使用 AI，員工就該離職，去找正在導入 AI 的公司。
電子報 The Pragmatic Engineer 作者 Gergely Orosz 轉貼時表示，不想用 AI 沒問題，但幾乎所有新創、大型科技公司與企圖心強的公司都不會錄用你。
Lauren 接著提出，軟體工程師面試或許只需要兩輪技術關卡。一輪是系統設計，另一輪是現場用 AI 代理做出一個真正可用的東西。
代理指的是能自己拆步驟、讀寫檔案與執行指令的 AI。她認為其他過去常考的題目，已經不再必要。
這些說法把「會不會用 AI」變成就業條件，也讓人追問，程式碼的品質標準還算不算數。
Lauren 的主張：程式碼一直都有粗糙之處
10 月 11 日，Lauren 發了一篇長文。她寫道，程式碼庫一直都含有 slop，也就是粗糙、品質不佳的程式碼，大家也一直接受這件事。
她給「好程式碼」三個條件：正確、沒有錯誤、執行起來快又省錢。她認為要同時做到這三點一直很昂貴，嵌入式等關鍵軟體尤其需要做到。
大多數軟體則是接受一些錯誤來換取開發速度，改靠測試與監控把關。她認為這是好事，而代理能讓團隊走得更快，平均品質也可能更好。
前一天她還提出「技能壓縮」的說法。就像手機讓沒有專業器材的人也能拍出好影片，代理也可能讓沒寫過程式的人做出複雜軟體。
她也坦承自己在這點上很矛盾，工程原則與設計模式仍然重要，只是未來或許能靠直覺補上。
這套論點聽起來很有說服力，質疑的聲音則集中在她沒列進去的條件。
反方的提醒：可維護性與資安不會自動變好
在 Lauren 的長文底下，工程師 Kun Chen 回覆，好程式碼應該還有第四個條件，就是容易讓別人維護與修改。
他回憶在微軟 Word 與 Excel 團隊時，有些核心模組寫得極其難懂，沒有測試也沒有文件。程式跑得很好，但除了原作者沒人敢碰。
資安是另一個常被提出的疑慮，尤其是讓 AI 產生大部分程式碼、自己很少逐行檢查的 vibe coding。
資安公司 Veracode 在 2026 年版報告中指出，四年來測試超過 100 個 AI 模型，平均資安通過率維持在 56% 左右，幾乎沒有進步。
今年表現最好的 GPT-5.5 通過率約 68%。專門寫程式的模型平均 51%，一般用途模型則是 52%。
這項測試只看模型直接產出的程式碼，沒有給資安提示，也不包含代理工具、掃描或人工審查。所以它不等於每個正式產品的漏洞比例，也不能拿來保證某個模型的每次輸出都安全。
這些數據沒有直接驗證 Lauren 對平均品質的預期，但說明了提速之後仍需要資安把關。
兩派其實在回答不同的問題
X 的趨勢摘要把這場討論寫成 Lauren 宣告「傳統軟體工程已死」，但她的原文沒有這樣說。直接喊出「軟體工程已死」的，是其他轉貼者。
Lauren 談的是大多數會持續改版的產品，重點是速度與迭代。反方談的是會被長期維護、處理敏感資料的系統，重點是風險。
所以實務上，團隊可以依軟體類型決定把關強度。內部工具可以讓代理多做一些，涉及付款或個資的模組則要保留更多審查。
Veracode 的數據也顯示，換成專門寫程式的模型，資安表現不一定比較好。把關仍要靠流程，不能只靠挑模型。
不論站哪一邊，測試、程式碼審查與資安掃描都是讓代理產出能上線的共同條件。Lauren 自己也把測試與監控當成大多數軟體的品質基礎。
常見問題
vibe coding 是什麼？
指用自然語言描述需求，讓 AI 產生大部分程式碼，開發者較少逐行檢查的寫程式方式。這場論戰討論的就是這種做法的品質風險。
AI 寫的程式碼一定比人寫的不安全嗎？
目前沒有定論。Veracode 測的是沒有資安提示的模型原始輸出，人寫的程式碼同樣會有漏洞。正式上線前，兩者都需要測試與掃描。
不會寫程式的人，現在能靠代理做出產品嗎？
Lauren 認為會出現一批沒寫過程式的新開發者。但產品若要長期維護或處理個資，仍需要懂系統設計與資安的人把關。
結語
這場論戰反映出，AI 代理已經進入工程師的日常，爭議點轉向品質由誰負責。不論支持哪一方，先替自己的專案定義什麼程度的品質才算夠用，會比爭論「工程已死」更有用。
延伸閱讀：AI App 越做越多，為什麼沒人用？a16z 數據揭露 Vibe Coding 的真正瓶頸
延伸閱讀：GitHub ReviewBench 發布：AI 程式審查怎麼比，才能找到問題又不淹沒工程師？
